認証の報告で確かめる項目一覧｜設定を段階で上げる

「送信元の認証は設定済みと報告を受けたきり、その後を誰も見ていない」「宣言をどこまで上げてよいか分からない」——メールの守りを固めたい企業が、決まって止まる場所です。設定を入れただけでは、なりすましは止まりません。宣言が様子見のままだと、報告が届くだけで何も遮られません。この記事では、届く報告の読み方と、段階の上げ方を整理します。

設定しただけで止まっている

受信の側が送信元の認証を求めるようになり、多くの会社が設定を済ませました。3つの仕組みを整え、確認の道具で緑の表示が出たら完了。そこで作業が終わっています。

ところが、設定の中には「認証に失敗したメールをどう扱うか」を宣言する部分があります。この宣言が「監視のみ」のままだと、失敗したメールも通常どおり配信されます。

つまり、自社の名前を騙ったメールが送られても、受信の側はそれを止めません。なりすましを防ぐという目的は、達成されていない状態です。

なぜ監視のままにするのか。最初はそれが正しい進め方だからです。いきなり拒否にすると、自社の正規のメールまで止まる危険があります。

問題は、監視から次に進めないまま年月が過ぎることです。進めるための材料は、毎日届いています。誰も読んでいないだけです。

この記事では、届く報告の読み方、段階の上げ方、そして途中でつまずく箇所を整理します。なお、各受信側の扱いや仕様は変わるため、公式の案内で確かめてください。

3つの仕組みの関係

送信元の認証には、3つの仕組みが関わります。それぞれの役割を押さえておくと、報告の意味が分かります。

1つ目は、どの設備から送ってよいかを宣言する仕組みです。宣言された設備以外から送られたメールは、この認証に失敗します。

2つ目は、メールに電子的な署名を付ける仕組みです。署名を検証すれば、途中で書き換えられていないことと、宣言した側から送られたことが確かめられます。

3つ目が、この記事の主題です。1つ目と2つ目の結果を見て、送信元の表記と整合しているかを判定し、失敗した場合の扱いを宣言する仕組みです。

重要なのは、1つ目と2つ目のどちらかが通っていて、かつ送信元の表記と整合していれば全体としては通る、という関係です。両方が必要なわけではありません。

整合という点が見落とされます。認証そのものは通っているのに、受け取る人が見る送信元の表記と認証に使われた名前が違うと、全体としては失敗と判定されます。

報告が届く仕組み

3つ目の仕組みを設定すると、受信の側から報告が届くようになります。この報告が、段階を上げるための材料になります。

報告の宛先は、宣言の中で指定します。指定していなければ、報告は届きません。設定を見直すとき、まずここを確かめます。

報告は、機械が読む形式で届きます。そのまま開いても、項目の名前と数字が並んだ読みにくいものです。

だから、読みやすく整えてくれる仕組みを使います。無償のものから有償のものまであり、宛先をそのサービスに向けるだけで使えるものもあります。

報告に含まれるのは、送ってきた設備の識別、その設備から送られた件数、認証の結果、そして受信側が実際にどう扱ったか。

含まれないのは、個々のメールの宛先や本文です。集約された報告には、個人が特定できる情報は含まれません。だから、この報告を受け取ることそのものに情報の面での問題は生じにくい。

届く頻度は、受信側によって違いますが1日1回程度が一般的です。複数の受信側から別々に届くため、まとめて見る仕組みがないと追えません。

報告で確かめる項目

報告を見るとき、何を確かめればよいのか。項目を挙げます。

• 自社が把握していない設備から送られていないか
• 把握している設備すべてが、認証を通っているか
• 通っていない設備があるなら、その原因は何か
• 送信元の表記と認証に使われた名前が整合しているか
• 件数の多い順に、上位の設備を把握できているか
• 認証に失敗している件数が、全体のどれくらいか

1つ目が、この仕組みを入れる最大の効果です。自社が知らない経路から送られているメールが見つかることがあります。

見つかるのは、多くの場合なりすましではありません。部署が独自に契約した配信の仕組み、古い設備、外部に委託した業務の送信。社内の把握漏れです。

2つ目が、段階を上げるための条件になります。把握している設備すべてが通っていることを確かめてから、次に進みます。

6つ目の割合も見ます。失敗している件数が多いままだと、段階を上げたときに止まるメールの量も多くなります。

割合を見るときは、件数の絶対値も合わせて見ます。1割の失敗でも、送信の総数が多ければ、止まる通数は無視できません。割合と件数の両方で判断します。

3つの段階を知る

宣言できる扱いは3つです。それぞれで、受信の側の動きが変わります。

宣言する扱い	認証に失敗したメールの扱い	使う場面
監視のみ	通常どおり配信される	導入の初期。報告を集めて実態を把握する
隔離	迷惑メールのフォルダに振り分けられる等	把握が済み、一部の失敗が残る段階
拒否	受信そのものを拒まれる	正規の送信元すべてが通っていることを確かめた後

導入は、監視から始めます。この段階では、何も止まりません。報告だけが届きます。

報告を分析し、把握していない設備を洗い出し、必要なものは認証を通るように整え、不要なものは止める。この作業が終わってから、次の段階に進みます。

隔離は、中間の段階です。止めるが完全には捨てない。誤って正規のメールが引っかかっても、受け取る人が迷惑メールのフォルダで見つけられます。

拒否は、最終の段階です。認証に失敗したメールは届きません。なりすましを止める効果は最も高い一方、設定の漏れがあれば正規のメールも止まります。

段階の途中で割合を指定する

監視から隔離へ、隔離から拒否へ。一気に切り替えるのが不安な場合、適用する割合を指定できます。

たとえば、隔離を1割にだけ適用する。残りの9割は監視のままとして扱われます。影響を小さく試せます。

1割で問題が出なければ、3割、5割、10割と上げていく。段階の中に、さらに段階を作る進め方です。

この方法は、送信の量が多い会社に向きます。毎日何万通も送っているなら、1割でも十分な検証の材料が得られます。

送信の量が少ない会社では、1割にしても該当するメールがほとんど出ません。その場合は、報告の分析を丁寧に行ってから一気に上げます。

割合の指定は、受信側が対応しているとは限りません。対応していない受信側では、指定を無視して全件に適用されることもあります。だから、割合を小さくしても安全が保証されるわけではありません。報告の分析を省く理由にはなりません。

割合を指定したまま放置するのも、よくある止まり方です。上げる予定の日を決めて、予定に入れておきます。

転送で認証が落ちる

段階を上げるときにいちばん問題になるのが、転送です。ここを理解しておかないと、原因の分からない失敗が残り続けます。

メールが転送されると、送ってくる設備が変わります。元の宣言に載っていない設備から届くため、設備を見る認証は失敗します。

一方、電子的な署名による認証は、本文と一部の項目が書き換えられていなければ転送されても維持されます。

だから、署名の側を確実に通しておくことが、転送への備えになります。署名が通っていれば、設備の認証が落ちても全体としては通ります。

ただし、転送の途中で本文に文字が追加される場合があります。一覧に配る仕組みが末尾に案内を付け足すと、署名の検証が失敗します。

この問題を補うために、受け取った経路を記録して引き継ぐ仕組みも定められています。対応している受信側では、転送による失敗を救済できる場合があります。

整合という条件を見落とさない

報告を見て「認証は通っているのに全体では失敗している」という状態に出会うことがあります。原因は、整合の条件です。

この仕組みは、認証が通っているかだけを見ているのではありません。受け取る人が見る送信元の表記と、認証に使われた名前が対応しているかも見ます。

配信の仕組みを使うと、見える送信元は自社の名前なのに、実際に送っている設備の名前はその仕組みの提供元のものになっていることがあります。

この状態では、設備の認証は通っても整合の条件を満たしません。全体としては失敗と判定されます。

直し方は、配信の仕組みの側で自社の名前を使う設定を入れることです。多くの提供元が、この設定の手順を案内しています。

この設定は、計測用のリンクを自社の名前にする作業と同時に行うことが多い。どちらも名前の管理の側に記述を追加する作業です。まとめて依頼すると、やり取りの回数が減ります。

整合の厳しさも指定できます。厳密に一致することを求めるか、同じ組織の範囲であれば認めるか。多くの場合、緩めの指定で足ります。

報告には2つの種類がある

届く報告には、性質の違う2種類があります。使い方も違います。

1つは、集約された報告です。一定の期間の件数を設備ごとにまとめたもので、実態を把握するための主な材料になります。

もう1つは、個別の失敗について詳しく知らせる報告です。失敗した個々のメールの情報が含まれます。こちらは個人情報が含まれ得るため、扱いに注意が要ります。

多くの受信側は、個別の報告を送りません。個人情報の観点から、送らない方針を取っているためです。

実務では、集約された報告だけで足ります。設備ごとの件数と結果が分かれば、洗い出しは進みます。

個別の報告の宛先を指定する場合は、受け取った情報の扱いを決めておきます。保存の期間、見られる人の範囲。設定するだけして放置するのは避けます。

代行して送る仕組みを洗い出す

自社の名前で送っている仕組みは、思っているより多くあります。洗い出しが、段階を上げる前の最大の作業になります。

業務の仕組みから送られる通知、採用の応募を受け付ける仕組み、請求の書類を送る仕組み、問い合わせへの自動の返信。どれも自社の名前で送られています。

加えて、配信の仕組み、顧客の管理の仕組み、催しの申込を受ける仕組み。部署が独自に契約しているものが、必ず見つかります。

外部に委託している業務からの送信も含めます。調査の依頼、アンケートの配信。委託先が自社の名前で送っているなら、その設備も対象です。

洗い出しの方法は2つあります。1つは報告を読んで実際に送っている設備を特定する方法。もう1つは、各部署に聞き取る方法。両方をやるのが確実です。

見つかった仕組みごとに、認証を通す設定を入れます。設定の方法は仕組みごとに違うため、それぞれの提供元の案内に従います。

洗い出しの一覧は残しておきます。どの仕組みが、どの名前で、何のために送っているか。この一覧が、以後の運用の土台になります。担当が替わっても、一覧があれば引き継げます。

段階を上げる手順

ここまでを踏まえて、実際の手順を整理します。急がず、順番を守ります。

2つ目の期間を惜しまないでください。月に1回しか動かない仕組みは、1か月見なければ現れません。

上げた後に届かなくなったとき

段階を上げた後で、「メールが届かない」という連絡が来ることがあります。慌てず、順に確かめます。

まず、報告を見てその送信元が失敗しているかを確かめます。失敗していれば、原因はこちら側の設定です。

次に、その送信元が把握していた設備かどうかを見ます。把握していなかったなら、洗い出しの漏れです。設定を入れて通るようにします。

転送が絡んでいる場合は、署名の側が通っているかを確かめます。署名が通っていれば、転送でも届くはずです。通っていないなら、署名の設定を見直します。

急ぎで止めたい場合は、宣言をいったん監視に戻す判断もあり得ます。戻すと止まらなくなりますが、業務が止まるほうが影響が大きい場面もあります。

戻したら、原因を直してから再び上げます。戻したまま放置すると、元の状態に逆戻りします。戻した日と、上げ直す予定を記録します。

問い合わせの窓口も決めておきます。「メールが届かない」という連絡がどこに来るのか。営業に来た連絡が情報の担当に届かないと、対応が遅れます。段階を上げる前に、社内に周知しておくのが確実です。

上げた効果をどう確かめるか

段階を上げると、何が良くなるのか。効果を測れる形にしておくと、社内での説明が楽になります。

直接の効果は、自社の名前を騙ったメールが止まることです。報告に出てくる不明な設備からの件数が、扱いを変えた後にどうなるかを見ます。

間接の効果として、自社の正規のメールが届きやすくなることがあります。認証を整えている送信元は、受信の側からの評価が上がる傾向があります。

配信の到達に関わる数字も見ます。迷惑メールと判定される割合、開封の割合。段階を上げた前後で比べます。

ただし、これらの数字は他の要因でも動きます。配信の内容、送る相手の質、受信側の仕様の変更。認証だけの効果を切り分けるのは難しい。

だから、「なりすましが止まった」という本来の目的で評価します。到達の改善は、付随する効果として扱うのが正直な整理です。

やりがちな失敗

現場で見かける失敗を挙げます。どれも、設定を「済んだこと」にしてしまうところから始まります。

• 報告の宛先を指定せず、報告そのものが届いていない
• 監視のままで1年以上放置し、なりすましを止められていない
• 報告を集める期間を短く切り上げ、月次で動く仕組みを見落とす
• 署名の側を整えず、設備の宣言だけで通そうとする
• 上げた後に報告を見なくなり、新しく増えた仕組みの失敗に気づかない
• 問い合わせが来たときに、監視に戻したまま放置する

4つ目は、転送への弱さにつながります。署名が通っていないと、転送されたメールはすべて失敗します。

5つ目は、運用の話です。新しい仕組みを導入するたびに、認証の設定を入れる工程を手続きに組み込みます。入れ忘れると、その仕組みからのメールが届きません。

• 監視のままではなりすましを止められない
• 上げる前に、正規の送信元すべてが認証を通っていることを報告で確かめる
• 各受信側の扱いや仕様は変わるため、公式の案内で確かめる

新しい仕組みを入れるときの手順

段階を上げた後は、新しい仕組みを入れるたびに認証の設定が必要になります。手続きに組み込みます。

導入を検討する段階で、その仕組みが認証に対応しているかを確かめます。対応していない仕組みは、拒否まで上げた環境では使えません。

対応していても、設定の手順は仕組みごとに違います。提供元の案内を読み、必要な記述を追加します。記述の追加には、名前の管理を担う側の作業が要ります。

設定を入れたら、試しに1通送って報告で確かめます。本番の配信の前に確かめないと、大量のメールが届かない事態になります。

記述の数に上限がある仕組みもあります。仕組みを増やしていくと、上限に当たることがあります。その場合は、書き方を整理して数を減らします。

使わなくなった仕組みの記述も外します。残しておくと、上限を無駄に消費します。年に一度、記述の棚卸しをしておきます。

よくある質問

報告は誰が読むべきですか

情報の担当と、配信を運用する担当の両方が関わります。設備の特定は情報の担当、配信の仕組みの把握は運用の担当。片方だけでは洗い出しが終わりません。

すぐに拒否まで上げてはいけませんか

送っている仕組みをすべて把握できているなら、上げても構いません。把握できていないまま上げると、業務のメールが止まります。把握が済んでいるかが分かれ目です。

送る量が少なければ設定は不要ですか

量に関わらず、自社の名前を騙られる危険はあります。受信の側の要件としても、認証を求める流れが強まっています。

報告を読む道具は必要ですか

そのままでは読みにくい形式なので、整えてくれる仕組みを使うのが現実的です。無償のものもあります。

受信箱にロゴを出す仕組みとの関係は

ロゴを出す仕組みは、拒否まで上げていることが条件とされる場合があります。段階を上げることが、その先の準備にもなります。

子のドメインにも同じ扱いが及びますか

上位で宣言した扱いが、下位にも及ぶのが基本です。下位ごとに別の扱いを指定することもできます。配信用に下位を分けているなら、そこだけ段階を分ける運用も取れます。

使っていない名前も設定すべきですか

メールを送らない名前でも、騙られる可能性はあります。送らないことを明示する設定を入れておくと、その名前を使ったなりすましを止めやすくなります。

報告が急に増えたらどうしますか

新しい仕組みが増えたか、騙りが始まったかのどちらかです。設備を確かめて、自社の把握しているものかを見ます。把握していないなら、騙りの可能性を検討します。

まとめ

送信元の認証は、設定した時点では完成していません。認証に失敗したメールをどう扱うかの宣言が「監視のみ」のままだと、なりすましは止まりません。止めるには、隔離、そして拒否へと段階を上げる必要があります。上げるための材料は、毎日届いている報告の中にあります。報告の宛先を指定し、1か月から2か月かけて集め、自社が把握していない設備をすべて特定する。見つかるのは多くの場合なりすましではなく、部署が独自に契約した仕組みや、外部に委託した業務からの送信です。把握できたら、必要な設備すべてが認証を通る状態にします。特に、電子的な署名の側を通しておくことが転送への備えになります。転送されると設備の認証は落ちますが、署名は維持されやすいためです。上げた後も報告を見続けます。新しい仕組みを導入すれば、また失敗が出ます。導入の手続きに、認証の設定を入れる工程を組み込んでおきます。各受信側の扱いや仕様は変わるため、公式の案内で確かめてください。

※本記事にはAIが活用されています。編集者が確認・編集し、可能な限り正確で最新の情報を提供するよう努めておりますが、情報の完全性、正確性、最新性、有用性等について保証するものではありません。本記事の内容に基づいて行動を取る場合は、読者ご自身の責任で行っていただくようお願いいたします。